Mejores prácticas para diseñar un sistema de permisos

Question

Actualmente estoy desarrollando un pequeño sitio web de Python usando Pyramid.
Pero no sé cómo diseñar el sistema de permisos.
El sistema debe ser muy flexible: tengo que establecer conexiones entre muchas tablas diferentes.
En lugar de escribir la mesa una autorización para cada variante pensé que acaba de crear una mesa - Me llaman PermissionCollection:

PermissionCollection:

• permissionCollectionId - PrimaryKey
• onType = ENUM ("Usuario", "Maestro", "GRUPO", "de" ...)
• ONID = entero

y la mesa de permiso:

• permissionId - PrimaryKey
• clave
• valor
• permissionCollectionId - ForeignKey

voy a definir PermissionCollections estándar para cada posible relación no modificable en las fuentes y si un usuario, por supuesto , profesor ... tiene derechos especiales, crearé una nueva Colección de Permisos y le agregaré el permiso.

Soy nuevo en la programación web y no sé si este enfoque es útil. O si algo como esto existe. Creo que la ACL de Pyramid no es la herramienta adecuada para esta tarea, ¿o sí?

Answer 1

No estoy seguro si ya lo leyó, pero la pirámide viene con un sistema de permisos realmente bueno. Autorización con ACL.

cómo manejar la situación, en realidad, sólo depende de ti ... Usted podría tener una tabla de ACL

(object_id, permitir/denegar, ¿quién? (Grupo, identificador de usuario), el permiso, orden)

• object_id es un identificador único a un registro en su base de datos
• permitir/denegar es lo que se supone que esto ACE que hacer ... permitir o denegar el acceso
• quién? es o bien un grupo, nombre de usuario o como se quiera, por ejemplo, está todo el mundo system.everyone
• permiso es el parámetro de permiso en view_config
• orden es una orden Lo importante no importa

Por ejemplo

__acl__ = [ 
(Deny, Everyone, 'view'), 
(Allow, 'group:admin', 'view') 
] 

Esta muestra siempre negará la vista incluso para el administrador ... Tan pronto como la pirámide encuentre algo que le indique si puede ver o no ver un registro, dejará de buscar automáticamente

__acl__ = [ 
(Allow, 'group:admin', 'view'), 
(Deny, Everyone, 'view') 
] 

Esto permitirá la vista para cada administrador pero no para nadie más.Es por eso que debe recordar el orden de sus ACE.

La parte divertida está aquí en realidad. Esto está todo bien. Tienes acl mapeado a un registro en tus datos. Cuando carga, por ejemplo, una página ... Deberá cargar el acl y configurarlo en su objeto.

myobject.__acl__ = load_acls(myobject) 

Si tiene un árbol de datos. Incluso no puedes establecer acls.

Por ejemplo, usted tiene un sitio que parece que

root 
    \--pages with acl 
     +---- page1 without acl 
     \---- page2 with acl 

Cuando se accede a la Página 1, se comprobará si hay acl si no lo encuentra, se comprobará padre si padre tiene un acl, comprobará el permiso para ello, si no comprobará su padre hasta llegar a la raíz. Si no puede encontrar el permiso, no estoy tan seguro de lo que sucede ... Supongo que le dará un error prohibido o un error de predicado. Que no puede encontrar la vista correcta.

Dicho esto, para hacer que funcione hay que hacer un objeto que conozca la ubicación que conozca a sus padres.

¿Pero por qué querrías hacer todo eso?

Puede tener acl para cualquier objeto y tener un control muy detallado sobre quién puede ver o no cada objeto en su base de datos. También puede poner acl directamente en su objeto de clase sin base de datos.

mientras su acl esté en el atributo acl pyramid podrá hacer algo al respecto. No es realmente importante cómo lo conseguiste.

mira esto

http://pyramid.readthedocs.org/en/1.3-branch/tutorials/wiki/authorization.html